IATF16949:2016-Sanctioned Interpretations (Number 16-22)

9.3.2.1 Management review inputs – supplemental

ข้อมูลป้อนเข้าสู่การทบทวนของฝ่ายบริหารจะต้องรวมถึง:

a) ต้นทุนด้อยคุณภาพ (ต้นทุนของความไม่สอดคล้องภายในและภายนอก);

b) การวัดประสิทธิภาพของกระบวนการ

c) การวัดประสิทธิภาพของกระบวนการสำหรับกระบวนการสร้างผลิตภัณฑ์ ตามความเหมาะสม

d) ความสอดคล้องของผลิตภัณฑ์

e) การประเมินความเป็นไปได้ในการผลิตสำหรับการเปลี่ยนแปลงการดำเนินงานที่มีอยู่และสำหรับโรงงานใหม่หรือผลิตภัณฑ์ใหม่ (ดูหัวข้อ 7.1.3.1)

f) ความพึงพอใจของลูกค้า (ดู ISO 9001 หัวข้อ 9.1.2)

g) การทบทวนประสิทธิภาพเทียบกับวัตถุประสงค์การบำรุงรักษา

h) การรับประกัน (ถ้ามี);

i) ทบทวนตารางสรุปการประเมินความพึ่งพอใจจากลูกค้า (Scorecard)(ถ้ามี)

j) การระบุความล้มเหลวของผู้ใช้งานที่อาจเกิดขึ้นซึ่งระบุผ่านการวิเคราะห์ความเสี่ยง (เช่น FMEA)

k) ความล้มเหลวของผู้ใช้งานและผลกระทบต่อความปลอดภัยหรือสิ่งแวดล้อม) การวัดประสิทธิภาพของกระบวนการสำหรับกระบวนการสร้างผลิตภัณฑ์ ตามความเหมาะสม

l) สรุปผลการวัดในขั้นตอนที่กำหนดในระหว่างการออกแบบและพัฒนาผลิตภัณฑ์และกระบวนการ ตามความเหมาะสม

เหตุผลในการเปลี่ยนแปลง:

ในส่วน “8.3.4.1 การติดตาม” ผลสรุปของการวัดในขั้นตอนที่กำหนดในระหว่างการออกแบบและพัฒนาผลิตภัณฑ์และกระบวนการเป็นข้อมูลป้อนเข้าในการทบทวนฝ่ายบริหาร อย่างไรก็ตาม ไม่ได้แสดงในหัวข้อ 9.3.2.1 การวัดอาจพิจารณา เช่น ระยะเวลา ต้นทุน หรือความเป็นไปได้

6.1.2.3 Contingency plans

a) – d) (…)

e) ทดสอบแผนฉุกเฉินเป็นระยะเพื่อประสิทธิผล (เช่น การจำลอง ตามความเหมาะสม)

การทดสอบความปลอดภัยทางไซเบอร์อาจรวมถึงการจำลองการโจมตีทางไซเบอร์ การตรวจสอบอย่างสม่ำเสมอสำหรับภัยคุกคามที่เฉพาะเจาะจง การระบุการพึ่งพาและการจัดลำดับความสำคัญของช่องโหว่ การทดสอบมีความเหมาะสมกับความเสี่ยงของการหยุดชะงักของลูกค้าที่เกี่ยวข้อง

หมายเหตุ: การทดสอบความปลอดภัยทางไซเบอร์อาจได้รับการจัดการภายในโดยองค์กรหรือผู้รับเหมาช่วงตามความเหมาะสม

เหตุผลในการเปลี่ยนแปลง:

รวมกับ SI 3 เนื่องจากเป็น IATF 16949 clause . เดียวกัน

7.1.3.1 Plant, facility, and equipment planning

องค์กรต้องใช้ทีมซึ่งรวมถึงการระบุความเสี่ยงและวิธีลดความเสี่ยงสำหรับการพัฒนาและปรับปรุงแผนโรงงาน สิ่งอำนวยความสะดวก และอุปกรณ์ ในการออกแบบผังโรงงาน องค์กรต้อง:

ก) เพิ่มประสิทธิภาพการไหลของวัสดุ การจัดการวัสดุ และการใช้พื้นที่ในการเพิ่มมูลค่ารวมถึงการควบคุมผลิตภัณฑ์ที่ไม่เป็นไปตามข้อกำหนด และ

b) อำนวยความสะดวกในการไหลของวัสดุแบบซิงโครนัส ตามความเหมาะสม และ

c) ใช้การป้องกันทางไซเบอร์ของอุปกรณ์และระบบที่สนับสนุนการผลิต

เหตุผลในการเปลี่ยนแปลง:

การรักษาความปลอดภัยทางไซเบอร์ไม่ได้จำกัดอยู่เพียงฟังก์ชันสนับสนุนและพื้นที่สำนักงานที่ใช้คอมพิวเตอร์ การผลิตยังใช้การควบคุมด้วยคอมพิวเตอร์และอุปกรณ์ที่อาจมีความเสี่ยงต่อ

10.2.3 Problem Solving

องค์กรต้องมีกระบวนการที่เป็นเอกสารสำหรับการแก้ปัญหา ซึ่งป้องกันไม่ให้เกิดขึ้นอีก ซึ่งรวมถึง:

ก) แนวทางที่กำหนดไว้สำหรับประเภทและขนาดของปัญหาต่างๆ (เช่น การพัฒนาผลิตภัณฑ์ใหม่ ปัญหาด้านการผลิตในปัจจุบัน ความล้มเหลวของภาคสนาม ผลการตรวจสอบ)

ข) การกักกัน การดำเนินการชั่วคราว และกิจกรรมที่เกี่ยวข้องที่จำเป็นสำหรับการควบคุมผลลัพธ์ที่ไม่เป็นไปตามข้อกำหนด (ดู ISO 9001 หัวข้อ 8.7)

ค) การวิเคราะห์สาเหตุหลัก วิธีการที่ใช้ การวิเคราะห์และผลลัพธ์

d) การดำเนินการแก้ไขอย่างเป็นระบบ รวมถึงการพิจารณาผลกระทบต่อกระบวนการและผลิตภัณฑ์ที่คล้ายกัน

จ) การทวนสอบประสิทธิผลของการดำเนินการแก้ไขที่นำไปปฏิบัติ;

f) การตรวจสอบและการปรับปรุงเอกสารข้อมูลที่เหมาะสม (เช่น PFMEA แผนควบคุม) หากจำเป็น

ในกรณีที่ลูกค้ามีกระบวนการ เครื่องมือ หรือระบบที่กำหนดไว้เฉพาะสำหรับการแก้ปัญหา องค์กรต้องใช้กระบวนการ เครื่องมือ หรือระบบเหล่านั้น เว้นแต่จะได้รับอนุมัติจากลูกค้าเป็นอย่างอื่น

เหตุผลในการเปลี่ยนแปลง:

การดำเนินการแก้ไขมักจะพลาดขั้นตอนสำคัญในการป้องกันการกลับเป็นซ้ำ เพิ่มการป้องกันการกลับเป็นซ้ำตามข้อกำหนดแล้ว

7.2.1 Competence – supplemental

องค์กรต้องจัดทำและคงไว้ซึ่งกระบวนการที่เป็นเอกสารสำหรับการระบุความต้องการการฝึกอบรม รวมถึงความตระหนัก (ดูหัวข้อ 7.3.1) และการบรรลุความสามารถของบุคลากรทั้งหมดที่ดำเนินกิจกรรมที่ส่งผลต่อความสอดคล้องกับข้อกำหนดของผลิตภัณฑ์และกระบวนการ บุคลากรที่ปฏิบัติงานที่ได้รับมอบหมายเฉพาะจะต้องมีคุณสมบัติตามที่กำหนด โดยให้ความสนใจเป็นพิเศษกับความพึงพอใจของความต้องการของลูกค้า

เพื่อลดหรือขจัดความเสี่ยงต่อองค์กร การฝึกอบรมและความตระหนักต้องรวมข้อมูลเกี่ยวกับการป้องกันที่เกี่ยวข้องกับการทำงานขององค์กรด้วยสภาพแวดล้อมและความรับผิดชอบของพนักงาน เช่น การรับรู้ถึงอาการของความล้มเหลวของอุปกรณ์ที่รอดำเนินการ และ/หรือการพยายามโจมตีทางไซเบอร์

เหตุผลในการเปลี่ยนแปลง:

ความรู้ของพนักงานเป็นกุญแจสำคัญในการป้องกันไม่ให้ปัญหากลายเป็นเรื่องสำคัญ รวมถึงการระบุความล้มเหลวของอุปกรณ์ที่อาจเกิดขึ้นและการโจมตีทางไซเบอร์

(New SI) ข้อกำหนดที่เปลี่ยนแปลง 7.2.1 Competency

ตามข้อกำหนดเดิม เมื่อเวลาเราสร้างความตระหนักให้ก้บพนักงาน เราก็จะแน้นให้พนักงานเข้าใจเกี่ยวกับ

– พนักงานมีส่วนส่งผลกระทบต่อคุณภาพของผลิตภัณฑ์อย่างไร

– พนักงานมีส่วนช่วยทำให้องค์กรหรือแผนกตัวเองบรรลุเป้าหมาย รักษาเเละปรับปรุงคุณภาพอย่างไร

– สร้างความตระหนักเกี่ยวก้บข้อกำหนดของลูกค้า (CSR)

– การสร้างความตระหนักเกี่ยวกับความเสี่ยงที่มีต่อลูกค้าหากได้มีผลิตภัณฑ์ที่ไม่เป็นไปตามข้อกำหนด อย่างที่ผมไป Audit เจอบริษัทหนึ่งประกอบมอเตอร์พวงมาลัยรถยนต์ เจอ OPL อยู่หน้าจุดที่พนักงานประกอบระบุว่า ถ้าเราใส่มอเตอร์สลับด้าน เมื่อคนขับรถเลี่ยวขวา รถจะเลี้ยวไปด้านซ้ายเป็นต้น

แต่สำหรับข้อกำหนดแก้ไขเพิ่มเติมใหม่ เน้นพนักงานต้องเข้าใจเกี่ยวกับอาการของความล้มเหลวของอุปกรณ์ที่รอดำเนินการ เช่น มีการสอนว่าถ้ามอเตอร์ทำงานผิดปกติจะได้ยินเสียงอย่างไร หรือ ถ้ามีน้ำมันหกรั่วไหลนะจุดนี้ น่าจะมีโอกาสที่ O-Ring รั่วที่จุดไหนบ้าง  หรือที่ผมไป  Consult อยู่ที่หนึ่ง เครื่องจะเป็นเครื่องอัตโนมัติทั้งหมด ทางซ่อมบำรุงก็จะไปทำ list ไปแปะไว้ที่น่าเครื่องว่าถ้าหน้าจอ  PLC โชว์เลขที่ทำงานผิดปกติ ให้ไปดูเครื่องจักรที่ตำแหน่งไหนได้บ้าง หรือแก้อาการเบื้องต้นอย่างไร  ผลปรากฎว่า  Downtime ช่วงกะกลางคืนลดลง เพราะพนักงานคุมเครื่องสามารถรู้อาการผิดปรกติ หรือแก้อาการเครื่องจักรผิดปกติเบื้องต้นได้

และ/หรือการพยายามโจมตีทางไซเบอร์ เช่น บริษัทปีโตเคมีที่ผมไป  Consult ที่หนึ่งมีการส่ง เมล์ phishing email  ให้พนักงานทุกคนแล้วลองดูว่ามีพนักงานใครที่กดเข้าไปดูบ้าง  ผลปรากฎว่าถ้าเป็นระดับ  Manager ส่วนใหญ่จะโทรมาถ้า IT Manager ว่าทำไมมีอีเมล์แปลกๆ ส่งมา  แต่สำหรับพนักงานระดับล่างหลายๆคนมีการกดเข้าไปดู ซึ่งถ้าเป็น phishing email จริง ก็อาจจะถูกจู่โจมทางไวรัสรีบร้อยแล้ว  หลังจากนั้น  IT Manager  ก็มีการจัดฝึกอบรมให้กับพนักงานทุกคนเรื่อง  Phasing

สำหรับผมเป็น IATF Auditor ให้กับทาง  LRQA  ทาง  LRQA ก็มีการจัดฝีกอบรมให้พนักงานทุกคนเกี่ยวกับ  Cyber security  เพื่อให้มีความตระหนักเกี่ยวกับเรื่องนี้

ในข้อกำหนดจึงมองว่าความรู้ของพนักงานเป็นกุญแจสำคัญในการป้องกันไม่ให้เกินปัญหาใหญ่เมื่อเกิดปัญหาที่เกี่ยวกับความล้มเหลวของอุปกรณ์เครื่องจักรที่อาจจะเกิดขึ้นและความรู้ของพนักงานก็ยังช่วยป้องกันการโจมตีทางไซเบอร์จากภายนอกได้อีกด้วย